Fallas de diseño, además de vulnerabilidades, sitios bancarios perjudicados

Los sitios web bancarios adolecen de fallas de diseño que socavan su seguridad, excluidas las vulnerabilidades del software, según un estudio de la Universidad de Michigan que se dará a conocer el viernes.

De 214 sitios encuestados en 2006, más del 75 por ciento tenía al menos uno falla de diseño que podría conducir a un problema de seguridad, dijo la universidad. El flujo y el diseño de los sitios pueden hacer que esos sitios sean más riesgosos, y los problemas no se pueden solucionar con un parche a diferencia de una vulnerabilidad de software.

Algunas de las conclusiones del estudio fueron publicadas el martes por la universidad. Los hallazgos completos se presentarán en el simposio sobre privacidad y seguridad utilizable que se reunirá el viernes en la Universidad Carnegie Mellon en Pittsburgh.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

El estudio fue realizado por Atul Prakash, un profesor en el Departamento de Ingeniería Eléctrica y Ciencias de la Computación, y dos estudiantes de doctorado, Laura Falk y Kevin Borders. Prakash comenzó a investigar después de notar problemas con el sitio web de su propio banco, dijo la universidad.

Aunque la investigación se realizó en 2006, muchos de los problemas aún afectan los sitios financieros. Uno de los problemas centrales es la subutilización de la tecnología de cifrado SSL (Secure Sockets Layer) en las páginas web.

El estudio descubrió que el 47% de los bancos no usaba SSL en las páginas de inicio de sesión, lo que podría abrirle la puerta a un hacker. redirigir datos a su propia PC. No usar SSL también facilita el ataque de un hombre en el medio, donde los datos de la víctima pasan por la PC de un atacante antes de ser enrutados al servidor del banco.

Otro problema generalizado que afecta al 55 por ciento de las instituciones es colocar información de contacto y consejos de seguridad en páginas inseguras. Un pirata informático podría irrumpir en el sitio web y cambiar el número de teléfono de servicio al cliente para dirigir a los clientes de la banca a un centro de llamadas ficticio. De nuevo, SSL es el remedio.

Los investigadores encontraron que el 30 por ciento de los sitios redirigirían a los usuarios a otros sitios web, lo que puede sesgar cómo se supone que una persona evalúe el riesgo, según el estudio., el sitio al que se vincula probablemente no se considerará un riesgo de seguridad, incluso si es posible. El banco debe colocar todas sus páginas web en el mismo servidor, pero algunas han subcontratado funciones de seguridad alojadas en otros dominios.

Las contraseñas y los ID de usuario débiles siguen siendo problemáticos, ya que el 28% de los bancos carecen de directrices sobre contraseñas o unos. Las instituciones también enviarán contraseñas o declaraciones por correo electrónico, lo que también es arriesgado, según el estudio.